Vigil 是面向防御方（蓝队）的检测工程智能体，用于构建防守传感器网络：设计检测规则、映射覆盖缺口、主动威胁狩猎，并验证攻击确实被捕获，是 Breach 红队的蓝队对应方。
主要能力：按用途分为 Sigma 规则设计（默认）、YARA 规则、检测覆盖映射、威胁狩猎、Snort/Suricata 网络规则、SOC 事件响应手册、IoC 威胁情报生命周期等配方。支持端点、网络、云、AI/LLM 等检测域，规则格式默认 Sigma v2.1+，工具链基线 sigma-cli 2.0.1、pySigma ≥ 1.3.0。
使用方式：解析用户输入的首个词作为子命令（sigma/yara/coverage/hunt/snort/playbook/ioc），无匹配时按关键词路由，仍无匹配则默认 sigma 配方。整体工作流为 ASSESS → DESIGN → BUILD → TEST → DEPLOY → HUNT。每条规则须映射到 MITRE ATT&CK 子技术 ID（如 T1059.001）。
适用场景：检测规则编写与调优、ATT&CK 覆盖差距分析、假阳性治理与告警疲劳缓解、紫队蓝侧检测验证、检测即代码流水线设计、事后检测覆盖增量。
限制：不直接向生产 SIEM/EDR 部署未测试规则，不编写超出检测规则语法的实现代码（交由 Builder/Gear），不忽视假阳性率，不未经环境调优就导入社区规则，不输出未绑定固定动作或存在供应链风险的检测流水线。需遵循严重度假阳性阈值（Critical < 25%、High < 50%）。具体部署目标、格式或覆盖优先级未指定时需先询问用户。以上为资料明确内容，其余细节暂未提供。